6个常见的 PHP 安全性攻击实例和阻止方法


Posted in PHP onDecember 16, 2020

了解常见的PHP应用程序安全威胁,可以确保你的PHP应用程序不受攻击。因此,本文将列出 6个常见的 PHP 安全性攻击,欢迎大家来阅读和学习。

1、SQL注入

SQL注入是一种恶意攻击,用户利用在表单字段输入SQL语句的方式来影响正常的SQL执行。还有一种是通过system()或exec()命令注入的,它具有相同的SQL注入机制,但只针对shell命令。

$username = $_POST['username'];
$query = "select * from auth where username = '".$username."'";
echo $query;
$db = new mysqli('localhost', 'demo', ‘demo', ‘demodemo');
$result = $db->query($query);
if ($result && $result->num_rows) {
    echo "<br />Logged in successfully";
} else {
    echo "<br />Login failed";
}

上面的代码,在第一行没有过滤或转义用户输入的值($_POST['username'])。因此查询可能会失败,甚至会损坏数据库,这要看$username是否包含变换你的SQL语句到别的东西上。

防止SQL注入

选项:

使用mysql_real_escape_string()过滤数据

手动检查每一数据是否为正确的数据类型

使用预处理语句并绑定变量

使用准备好的预处理语句

分离数据和SQL逻辑

预处理语句将自动过滤(如:转义)

把它作为一个编码规范,可以帮助团队里的新人避免遇到以上问题。

$query = 'select name, district from city where countrycode=?';
if ($stmt = $db->prepare($query) )
{
    $countrycode = 'hk';
    $stmt->bind_param("s", $countrycode);
    $stmt->execute();
    $stmt->bind_result($name, $district);
    while ( $stmt ($stmt->fetch() ){
        echo $name.', '.$district;
        echo '<br />';
    }
    $stmt->close();
}

2、XSS攻击

XSS(跨站点脚本攻击)是一种攻击,由用户输入一些数据到你的网站,其中包括客户端脚本(通常JavaScript)。如果你没有过滤就输出数据到另一个web页面,这个脚本将被执行。

接收用户提交的文本内容

<?php
if (file_exists('comments')) {
    $comments = get_saved_contents_from_file('comments');
} else {
    $comments = '';
}

if (isset($_POST['comment'])) {
    $comments .= '<br />' . $_POST['comment'];
    save_contents_to_file('comments', $comments);
}
>

输出内容给(另一个)用户

<form action='xss.php' method='POST'>
Enter your comments here: <br />
<textarea name='comment'></textarea> <br />
<input type='submit' value='Post comment' />
</form><hr /><br />

<?php echo $comments; ?>

将会发生什么事?

烦人的弹窗

刷新或重定向

损坏网页或表单

窃取cookie

AJAX(XMLHttpRequest)

防止XSS攻击

为了防止XSS攻击,使用PHP的htmlentities()函数过滤再输出到浏览器。htmlentities()的基本用法很简单,但也有许多高级的控制,请参阅XSS速查表。

3、会话固定

会话安全,假设一个PHPSESSID很难猜测。然而,PHP可以接受一个会话ID通过一个Cookie或者URL。因此,欺骗一个受害者可以使用一个特定的(或其他的)会话ID 或者钓鱼攻击。

6个常见的 PHP 安全性攻击实例和阻止方法

4、会议捕获和劫持

这是与会话固定有着同样的想法,然而,它涉及窃取会话ID。如果会话ID存储在Cookie中,攻击者可以通过XSS和JavaScript窃取。如果会话ID包含在URL上,也可以通过嗅探或者从代理服务器那获得。

防止会话捕获和劫持

更新ID

如果使用会话,请确保用户使用SSL

5、跨站点请求伪造(CSRF)

CSRF攻击,是指一个页面发出的请求,看起来就像是网站的信任用户,但不是故意的。它有许多的变体,比如下面的例子:

<img src='http://example.com/single_click_to_buy.php?user_id=123&item=12345'>

防止跨站点请求伪造

一般来说,确保用户来自你的表单,并且匹配每一个你发送出去的表单。有两点一定要记住:

对用户会话采用适当的安全措施,例如:给每一个会话更新id和用户使用SSL。

生成另一个一次性的令牌并将其嵌入表单,保存在会话中(一个会话变量),在提交时检查它。

6、代码注入

代码注入是利用计算机漏洞通过处理无效数据造成的。问题出在,当你不小心执行任意代码,通常通过文件包含。写得很糟糕的代码可以允许一个远程文件包含并执行。如许多PHP函数,如require可以包含URL或文件名,例如:

<form>Choose theme:
    <select name = theme>
        <option value = blue>Blue</option>
        <option value = green>Green</option>
        <option value = red>Red</option>
    </select>
    <input type = submit>
</form>
<?php
    if($theme) {
        require($theme.'.txt');
    }
?>

在上面的例子中,通过传递用户输入的一个文件名或文件名的一部分,来包含以"http://"开头的文件。

防止代码注入

过滤用户输入

在php.ini中设置禁用allow_url_fopen和allow_url_include。这将禁用require/include/fopen的远程文件。

其他的一般原则

1. 不要依赖服务器配置来保护你的应用,特别是当你的web服务器/ PHP是由你的ISP管理,或者当你的网站可能迁移/部署到别处,未来再从别处迁移/部署在到其他地方。请在网站代码中嵌入带有安全意识的检查/逻辑(HTML、JavaScript、PHP,等等)。

2. 设计服务器端的安全脚本:

—例如,使用单行执行 - 单点身份验证和数据清理

—例如,在所有的安全敏感页面嵌入一个PHP函数/文件,用来处理所有登录/安全性逻辑检查

3. 确保你的代码更新,并打上最新补丁。

到此这篇关于6个常见的 PHP 安全性攻击实例和阻止方法的文章就介绍到这了,更多相关PHP安全性攻击内容请搜索三水点靠木以前的文章或继续浏览下面的相关文章希望大家以后多多支持三水点靠木!

PHP 相关文章推荐
一些关于PHP的知识
Nov 17 PHP
PHP中基于ts与nts版本- vc6和vc9编译版本的区别详解
Apr 26 PHP
ThinkPHP学习笔记(一)ThinkPHP部署
Jun 22 PHP
php实现根据url自动生成缩略图的方法
Sep 23 PHP
使用symfony命令创建项目的方法
Mar 17 PHP
PHP中header函数的用法及其注意事项详解
Jun 13 PHP
php简单生成一组与多组随机字符串的方法
May 09 PHP
php获取数据库结果集方法(推荐)
Jun 01 PHP
PHP substr()函数参数解释及用法讲解
Nov 23 PHP
PHP常用正则表达式精选(推荐)
May 28 PHP
thinkphp 5框架实现登陆,登出及session登陆状态检测功能示例
Oct 10 PHP
php多进程并发编程防止出现僵尸进程的方法分析
Feb 28 PHP
TP5多入口设置实例讲解
Dec 15 #PHP
Mac系统下搭建Nginx+php-fpm实例讲解
Dec 15 #PHP
php在linux环境中如何使用redis详解
Dec 15 #PHP
PHP文件操作简单介绍及函数汇总
Dec 11 #PHP
PHP SESSION跨页面传递失败解决方案
Dec 11 #PHP
PHP生成随机密码4种方法及性能对比
Dec 11 #PHP
通过代码实例解析PHP session工作原理
Dec 11 #PHP
You might like
PHP实现MySQL更新记录的代码
2008/06/07 PHP
关于ob_get_contents(),ob_end_clean(),ob_start(),的具体用法详解
2013/06/24 PHP
PHP中HTML标签过滤技巧
2014/01/07 PHP
Laravel ORM 数据model操作教程
2019/10/21 PHP
两个select之间option的互相添加操作(jquery实现)
2009/11/12 Javascript
jQuery AJAX实现调用页面后台方法和web服务定义的方法分享
2012/03/01 Javascript
JavaScript 判断用户输入的邮箱及手机格式是否正确
2013/12/08 Javascript
thinkphp中常用的系统常量和系统变量
2014/03/05 Javascript
Javascript学习笔记之 对象篇(三) : hasOwnProperty
2014/06/24 Javascript
switch语句的妙用(必看篇)
2016/10/03 Javascript
node实现基于token的身份验证
2018/04/09 Javascript
vue 内置过滤器的使用总结(附加自定义过滤器)
2018/12/11 Javascript
微信小程序文字显示换行问题
2019/07/28 Javascript
解决layui页面按钮点击无反应,也不报错的问题
2019/09/29 Javascript
Vue实现移动端拖拽交换位置
2020/07/29 Javascript
[44:01]2018DOTA2亚洲邀请赛3月30日 小组赛B组 EG VS paiN
2018/03/31 DOTA
python根据经纬度计算距离示例
2014/02/16 Python
为Python的Tornado框架配置使用Jinja2模板引擎的方法
2016/06/30 Python
python实现数据图表
2017/07/29 Python
Python设计模式之MVC模式简单示例
2018/01/10 Python
Python实现Kmeans聚类算法
2020/06/10 Python
Django def clean()函数对表单中的数据进行验证操作
2020/07/09 Python
为什么在使用动态 SQL 语句时必须为低层数据库对象授予权限
2012/12/13 面试题
教育专业个人求职信
2013/12/02 职场文书
工厂实习感言
2014/01/14 职场文书
班级团队活动方案
2014/08/14 职场文书
2016春节慰问信范文
2015/03/25 职场文书
2015年会计个人工作总结
2015/04/02 职场文书
离婚案件上诉状
2015/05/23 职场文书
2016年劳模先进事迹材料
2016/02/25 职场文书
致创业的您:这类人不适合餐饮创业
2019/08/19 职场文书
MySQL8.0.24版本Release Note的一些改进点
2021/04/22 MySQL
如何用JS实现简单的数据监听
2021/05/06 Javascript
用JS创建一个录屏功能
2021/11/11 Javascript
windows11怎么查看wifi密码? win11查看wifi密码的技巧
2021/11/21 数码科技
Spring Security动态权限的实现方法详解
2022/06/16 Java/Android